Caza de amenazas – Malspam – Oficina de Japón infectada

Análisis de malware

Caza de amenazas – Malspam – Oficina de Japón infectada

febrero por Kapil Kulkarni

Este es un laboratorio que se realiza en un banco de pruebas. Los recursos se descargaron de malware.trafficanalysis.net. Las muestras proporcionadas proceden de un estudio de caso de una oficina local japonesa que fue víctima de un importante ciberataque.

Guión

Trabaja como analista de seguridad para una empresa con oficinas en todo el mundo y, recientemente, la sede corporativa abrió una oficina de campo en Japón.

¡Conviértete en un ingeniero inverso certificado!

Obtenga capacitación práctica en vivo sobre análisis de malware desde cualquier lugar y conviértase en un analista certificado de ingeniería inversa. Comienza a aprender

El martes 27 de junio de, observó varias alertas de alta prioridad de dos sistemas de detección de intrusiones (IDS) diferentes. Un IDS ejecuta Snort utilizando el conjunto de reglas de suscripción de Snort y el otro ejecuta Suricata, utilizando el conjunto de reglas de EmergingThreats Pro.

Los resultados indican que una computadora con Windows fue infectada en la oficina local de Japón y se le pidió que investigara esta violación de seguridad. Tiene el «pcap», un archivo de texto que contiene las alertas de Snort y un archivo de texto que contiene las alertas de Suricata.

Se nos ha asignado la tarea específica de determinar la causa de este ciberataque. Se nos han proporcionado ciertos archivos sobre los cuales comenzaremos a documentar y buscar sistemáticamente. El objetivo principal aquí es investigar la existencia del malware y los programas asociados instalados que incluyen el seguimiento del centro de comando y control.

Los archivos que se han proporcionado son los siguientes:

Para comenzar este análisis, utilizamos las firmas disponibles para analizar el archivo y determinar si existe alguna infección conocida que resida en el sistema. Hay dos enfoques diferentes que podemos utilizar:

  1. Podemos analizar el archivo únicamente a través de las detecciones de firmas disponibles.
  2. Podemos crear una suposición y luego utilizar las herramientas necesarias para llegar a una conclusión.

Considerando ambos enfoques, el segundo requerirá más tiempo dependiendo del paquete de datos o del tamaño de la muestra. Las prácticas de nivel industrial incluyen un enfoque híbrido en el que podemos analizar los archivos a través de varias herramientas de detección de amenazas y luego formular una hipótesis.

Seguiremos el proceso híbrido. A continuación se muestran sitios web que se pueden utilizar para cargar y verificar la existencia de amenazas:

Para esta práctica de laboratorio, utilizaremos el sitio web de VirusTotal. Comparte las muestras con todos los AV de renombre y, por lo tanto, tiene una mayor confiabilidad de detección. Esto se ilustra en la siguiente captura de pantalla:

Usaremos un malware llamado «Trojan.Win32.Ursnif.eqlfmr». Esto se ilustra arriba.

Una búsqueda rápida de recursos relacionados con la amenaza identificada reveló más información sobre el paradero de este malware específico.

Se identifican algunos indicadores de compromiso, que se describen como:

El archivo pcap ahora se ha utilizado para análisis adicionales desde que lo alcanzamos. El filtrado del archivo pcap con el filtro «HTTP.request» en Wireshark y una revisión de la columna de host muestra un host familiar para el malware «vantagepointtechnologies.com». Este host conducirá a la descarga de un archivo llamado «wp.exe». Esto se ilustra en la siguiente captura de pantalla:

Aquí están los detalles observados:

Dirección IP: 192.168.1.96

Nombre de host: FlashGordon-PC

El sistema está infectado por el «Trojan.Win32.Ursnif.eqlfmr». Además, el archivo wp.exe se descargó del host afectado.

Este malware específico descarga más archivos y puede robar información privada y confidencial del usuario final. Además, recopila las contraseñas que se almacenan en el navegador web Internet Explorer. Se instala como una actualización de Adobe Flash y se difunde por correo electrónico. Se dirige al registro del sistema y lo modifica de tal manera que se ejecuta cada vez que se inicia el sistema operativo Windows.

TrojanSpy: Win32/Ursnif coloca el siguiente archivo, que es un controlador de dispositivo:

%windir%new_drv.sys: también detectado como TrojanSpy:Win32/Ursnif

Reanudamos nuestra investigación a través del archivo pcap proporcionado donde podemos comenzar a examinar en busca de otras pruebas que sean de naturaleza sospechosa además del «TrojanSpy: Win32/Ursnif».

Las dos primeras solicitudes que observamos son las consultas DNS que intentan conectarse a la IP matied.com del sitio web matied.com. Se carga y el usuario accede a él, y se demuestra que también es un sitio web malicioso. Esto se ilustra en la siguiente captura de pantalla:

Esta amenaza ha sido señalada y, como resultado, esto hará que otros recursos de seguridad también participen. Debido a esto, ahora podemos continuar con la «http.request». Esto se ilustra en la captura de pantalla de arriba.

Además, la siguiente solicitud que se invocará es el «apretón de enlace TCP» estándar. Esto dirige el tráfico HTTP a matied.comm Taking, como se ilustra a continuación:

El «gerv.gun» es una solicitud de archivo de la máquina host. Varios rastros de las herramientas e informes AV revelaron que la carga útil estaba incrustada en el archivo y luego instalada en el sistema. El malware fue identificado como Trojan-Banker.Win32.Shiotob.wiu y es una posible replicación del ransomware Ursnif/Gozi.

Las víctimas se convirtieron en los principales objetivos de la campaña de phishing. Por ejemplo, el correo electrónico parecía provenir de una fuente legítima, como se ilustra en la siguiente captura de pantalla:

Para analizar el archivo en un nivel más profundo, extrajimos los objetos HTTP de exportación. Existen varios métodos para realizar esta tarea. Uno de los más simples es el siguiente:

«Archivo → Exportar → Objetos → Http».

Luego se le proporcionará una lista de objetos que luego se podrán extraer con éxito.

A continuación, seleccione el que sea necesario y extraiga ese objeto.


Ahora hemos recuperado los archivos trow.exe y wp.exe. Como este último es un archivo infectado, sólo nos queda el trow.exe. archivo.

También hay un archivo grev.gun para el cual la solicitud determinó que era algún tipo de ejecutable dentro de un archivo gun. No pudimos recuperarlo exitosamente, pero hay muchos recursos para marcarlo como un archivo malicioso.

Se utilizó un análisis híbrido ( www.hybrid-analysis.com ) para análisis adicionales. Las URL afectadas son las que visitó nuestra máquina host. Luego, el malware lee las claves relacionadas con el servicio de terminal (a menudo relacionadas con RDP), seguido de la lectura del nombre de la computadora activa y la fecha de instalación de Windows. Posteriormente, el malware activó cargas útiles e importó API sospechosas . Esto se ilustra en la siguiente captura de pantalla:

El archivo Trow.exe se obtuvo nuevamente con el objeto HTTP. Esto resultó ser vulnerable a varios dominios. El malware pertenece a una familia de Win32/Cutwail y, por lo tanto, conduce a la descarga y ejecución de varios archivos arbitrarios alojados en dominios comprometidos.

Esta familia de malware se utiliza para comprometer las computadoras de diversas formas, según la voluntad del atacante. Por ejemplo, puede distribuir malware adicional, enviar spam, generar ingresos publicitarios falsos de «pago por clic», recolectar direcciones de correo electrónico e incluso romper las características de seguridad de los «captchas» que a menudo se utilizan como medio de verificación. El malware también puede incrustarse como un rootkit para evitar su detección y eliminación. Esto se ilustra en las dos capturas de pantalla anteriores.

La URL de distribución incluye los sitios web lounge-haarstudio.nl y vatagepointtechnologies.com. Al utilizar los comandos «archivo» y «cadenas» basados ​​en Linux, se reveló que se trata de archivos ejecutables de Windows de 32 bits. Además, también observamos las secciones de archivos y las importaciones de archivos que incluyen las siguientes DLL basadas en Windows:

Los archivos ejecutables correspondientes pueden incluso acceder a las DLL privilegiadas, como se ilustra en la siguiente captura de pantalla:

Sin olvidar que hay muchos archivos objeto volcados durante la exportación, vemos algún tipo de datos ofuscados que pueden no ser necesariamente maliciosos. Mientras rastreamos el centro de comando y control, nos encontramos con numerosas solicitudes POST que contienen datos confusos.

Este es un comportamiento esperado del lado del cliente que intenta PUBLICAR datos en el servidor. También hay casos en los que los datos pueden transferirse al servidor en el puerto 443, pero serán de naturaleza texto sin cifrar. Todo esto se ilustra en las capturas de pantalla anteriores.

Para rastrear esto, podemos utilizar los registros de red o las firmas de las herramientas SIEM. Si estas herramientas no están disponibles, podemos continuar con VirusTotal o el análisis híbrido.com. Ambos recursos constan de una base de datos que cuenta con centros de comando y control, dependiendo del tipo de malware que se identifique. Esto se ilustra en la siguiente captura de pantalla:

Finalmente, hemos llegado a un nivel en el que se ha confirmado que varios agentes atacan y ahora podemos «reforzar» el proceso con todo tipo de detalles. Como resultado, esto puede ser utilizado por los mecanismos defensivos que implementa la organización afectada.

Conclusión:

Detalles de la máquina infectada:

Nombre de host: FlashGordon-PC

Dirección IP: 192.168.1.96

Hora y fecha de infección: 27 de junio de 09:38:32 EDT

Sistema operativo: Windows 7 (cadena de agente de usuario asignada con sistemas operativos)

Archivos maliciosos descargados:

Dominio malicioso observado:

Países registrados de dominio:

Variantes de malware descargadas:

Impacto del malware:

Hace lo siguiente:

Firmas Md5:

wp.exe – 4da48f6423d5f7d75de281a674c2e6p>

trow.exe – fb75d4f81be51074bb4147e781e5b402

(Obtenido usando el comando md5sum)

Posibles software explotados:

Firmas activadas:

Recomendaciones:

There are various techniques by which an organization can defend itself. This Includes all the following:

References: